Datenschutz

Stand: 11.10.2026

Kurz gesagt

Auf cpcpass.eu gibt es keine Werbung und keine Analysewerkzeuge anderer Anbieter wie Google Analytics. Besuche zählen wir selbst, ohne Cookies. Schriften, Bilder und Skripte liegen auf unserem eigenen Server, es werden keine Inhalte von fremden Diensten nachgeladen. Der Gratis-Test funktioniert ohne Konto, dann speichert deinen Lernfortschritt nur dein Browser.

Ein Konto entsteht erst, wenn du den Vollzugang kaufst oder dich mit deiner E-Mail-Adresse anmeldest. Dann speichern wir deine E-Mail-Adresse, deine Bestellung und deinen Lernfortschritt, und dein Browser bekommt ein notwendiges Anmelde-Cookie. Die Zahlung wickelt Stripe ab, deine Kartendaten sehen wir nicht.

Verantwortlicher

Paweł Kandybowicz, Kandyb Studio, Żytnia 16, lok. 8, 01-014 Warszawa, Polen. E-Mail: support@kandyb-studio.eu. Weitere Angaben findest du im Impressum.

Aufruf der Website

Wenn du eine Seite aufrufst, schickt dein Browser technisch notwendige Daten an unseren Server: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, die zuvor besuchte Seite und die Kennung deines Browsers. Ohne diese Daten kann der Server die Seite nicht ausliefern.

Im Zugriffsprotokoll speichern wir die IP-Adresse nur gekürzt: Bei IPv4 entfällt der letzte Block, bei IPv6 alles nach den ersten drei Blöcken. Damit lässt sich die Adresse keinem Anschluss mehr zuordnen. Das Fehlerprotokoll kann in Einzelfällen die vollständige IP-Adresse enthalten. Beide Protokolle löschen wir automatisch nach 14 Tagen. Wir werten sie nur aus, um Störungen und Angriffe zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb der Website.

Besucherzählung

Besuche zählen wir selbst, ohne Cookies und ohne fremde Werkzeuge. Bei jeder aufgerufenen Seite und bei der ersten Antwort im Test schickt dein Browser uns eine kurze Meldung: die Adresse der Seite, die Sprachfassung und woher du auf cpcpass.eu gekommen bist. Als Herkunft speichern wir nur den Domainnamen der vorherigen Seite (zum Beispiel google.com) und die Kampagnen-Kennzeichen aus dem Link (utm_-Parameter). Enthält ein Werbelink eine Klick-ID von Google oder Facebook, speichern wir nur, dass sie vorhanden war, nicht die ID selbst.

Damit wir eine Person von zehn unterscheiden können, bildet der Server einen Einweg-Hashwert aus der wie im Protokoll gekürzten IP-Adresse, der Browserkennung und der Browsersprache. Den Schlüssel dafür erzeugen wir jeden Tag neu und löschen ihn nach zwei Tagen. Hashwerte verschiedener Tage lassen sich deshalb nicht miteinander verknüpfen. IP-Adresse und Browserkennung selbst speichern wir nicht. Die Meldungen löschen wir nach 90 Tagen. Wir schauen uns nur Summen an: wie viele Personen an einem Tag da waren, wie viele einen Test begonnen haben, wie viele zur Zahlung gegangen sind und woher sie kamen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist zu wissen, wie viele Menschen die Website nutzen und welche Quellen, auch unsere Werbung, sie zu uns bringen.

Hosting

Die Website läuft auf einem Server der OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich, in einem Rechenzentrum in Frankreich. OVH verarbeitet die oben genannten Daten in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Auf demselben Server liegt auch die unten beschriebene Datenbank mit Konten, Bestellungen und Lernfortschritt.

Lernfortschritt im Browser

Was du im Test beantwortest und welche Fragen du dir merkst, speichert die Seite im lokalen Speicher deines Browsers (localStorage). Solange du nicht angemeldet bist, werden diese Daten nicht an uns übertragen, wir können sie weder sehen noch wiederherstellen. Du löschst sie unter „Nach Themen lernen“ mit „Fortschritt löschen“ oder über die Einstellungen deines Browsers. Ein Cookie ist das nicht.

Außerdem merkt sich der Browser unter dem Schlüssel cpcpass.lang die zuletzt gewählte Sprache, damit dich cpcpass.eu beim nächsten Besuch gleich auf diese Sprachversion bringt. „Fortschritt löschen“ lässt diese Einstellung stehen. Entfernen kannst du sie, indem du in deinem Browser die gespeicherten Daten von cpcpass.eu löschst.

Eine Einwilligung brauchen wir dafür nicht. Das Speichern ist unbedingt erforderlich, damit die Seite dir den Dienst liefern kann, den du ausdrücklich nutzen willst: einen Test, der sich deinen Lernstand merkt (§ 25 Abs. 2 Nr. 2 TDDDG).

Konto und Anmeldung

Ein Konto legst du an, wenn du den Vollzugang kaufst oder dich unter „Mein Konto“ anmeldest. Wir speichern dann deine E-Mail-Adresse, wann das Konto angelegt wurde und wann du dich zuletzt angemeldet hast. Zum Anmelden schicken wir dir einen sechsstelligen Code per E-Mail. In der Datenbank liegt davon nur ein kryptografischer Hashwert. Der Code gilt 15 Minuten, spätestens eine Stunde nach Ablauf löschen wir ihn. Bei der Anmeldesitzung ist es genauso: Gespeichert ist nur ein Hashwert, nicht die Kennung aus dem Cookie.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn ohne diese Daten können wir dein Konto nicht führen und dir den gekauften Zugang nicht geben. Die Kontodaten speichern wir, solange das Konto besteht. Ein Konto ohne Kauf, in dem sich zwölf Monate lang niemand angemeldet hat, löschen wir automatisch samt Lernfortschritt und Anmeldesitzungen. Ein Konto, über das gekauft wurde, löschen wir nicht automatisch. Willst du es löschen, schreib an support@kandyb-studio.eu. Wir löschen dann deine E-Mail-Adresse, die Sitzungen und den gespeicherten Lernfortschritt. Bestelldaten bewahren wir so lange auf, wie es das Steuerrecht verlangt (siehe unten).

Cookies und Speicher im Browser

Wir setzen nur zwei Cookies, beide sind für Anmeldung und Kauf notwendig:

• cpcpass_s hält dich angemeldet. Es entsteht erst nach der Anmeldung oder nach dem Kauf und läuft nach 180 Tagen oder beim Abmelden ab.
• cpcpass_co verbindet den Browser, in dem du die Zahlung startest, mit der Bestellung, damit du nach der Rückkehr von Stripe gleich angemeldet bist. Es wird nur beim Bezahlen verwendet und läuft nach 24 Stunden ab.

Bist du angemeldet, legt der Browser im lokalen Speicher außerdem die E-Mail-Adresse des Kontos und den zuletzt mit dem Konto abgeglichenen Lernstand ab (Schlüssel cpcpass.sync.v1 mit dem Sprachkürzel). So kommt eine Antwort, die du auf einem Gerät gelöscht hast, nicht vom anderen Gerät zurück.

Nachdem wir dir einen Anmeldecode geschickt haben, merkt sich der Browser 15 Minuten lang im Sitzungsspeicher (sessionStorage, Schlüssel cpcpass.pending) die E-Mail-Adresse, damit das Feld für den Code nach dem Neuladen der Seite bleibt. Der Eintrag verschwindet nach der Anmeldung und beim Schließen des Tabs.

Eine Einwilligung brauchen wir dafür nicht, weil Cookies und Speicher unbedingt erforderlich sind, damit wir dir den Dienst liefern können, den du ausdrücklich nutzen willst: Anmeldung, Kauf und Lernen mit Konto (§ 25 Abs. 2 Nr. 2 TDDDG). Werbe- oder Analyse-Cookies setzen wir nicht. Auf der Zahlungsseite von Stripe gelten die Regeln von Stripe.

Für die Besucherzählung hält dein Browser im Sitzungsspeicher (sessionStorage, Schlüssel cpcpass.src) die oben beschriebene Herkunft fest: Kampagnen-Kennzeichen, Domain der vorherigen Seite und die zuerst aufgerufene Seite. So geht die Herkunft beim Wechsel zwischen Seiten nicht verloren und landet bei der Bestellung, falls du kaufst. Der Eintrag enthält nichts, was dich identifiziert, und verschwindet, wenn du den Tab schließt.

Kauf über Stripe

Beim Kauf wechselst du auf die Zahlungsseite von Stripe und gibst dort deine E-Mail-Adresse, deine Zahlungsdaten und deine Rechnungsadresse ein. Aus ihr ermittelt Stripe das Land, nach dem sich die Umsatzsteuer richtet. Die Zahlungen wickelt Stripe Payments Europe, Limited aus Irland ab. Deine Kartendaten sehen und speichern wir nicht. Von Stripe erhalten wir die E-Mail-Adresse, das Land der Rechnungsadresse, den Betrag mit der enthaltenen Umsatzsteuer, die Währung, den Zahlungsstatus und die Kennung der Zahlung.

In der britischen Ausgabe verkauft Link, ein Dienst von Stripe, den Zugang als Verkäufer (Merchant of Record). Link erhält dann die Daten, die du auf der Zahlungsseite eingibst, und nutzt sie als eigener Verantwortlicher: um die Zahlung abzuwickeln, die Umsatzsteuer zu berechnen und abzuführen, dir Quittung und Rechnung zu schicken, Betrug zu verhindern und Fragen zur Zahlung zu beantworten. Dafür gilt die Datenschutzerklärung von Link. Du kannst Link bitten, die Daten aus deinem Kauf und dein Link-Konto zu löschen. Stripe entfernt sie dann auch aus den Zahlungsdaten in unserem Stripe-Konto. Unseren eigenen Bestelldatensatz bewahren wir auf, wie unten beschrieben.

Bei uns bleibt ein Bestelldatensatz: Nummer, Sprachausgabe, Land, Betrag und enthaltene Umsatzsteuer, Währung, Status, Zahlungskennung bei Stripe, Zeitpunkte, die Fassung der AGB sowie Fassung und Zeitpunkt deiner Zustimmung zur sofortigen Freischaltung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO, weil das Steuerrecht uns verpflichtet, Verkaufsbelege aufzubewahren. Den Nachweis deiner Zustimmung bewahren wir auch auf, um im Streitfall zeigen zu können, dass das Widerrufsrecht rechtmäßig erloschen ist (Art. 6 Abs. 1 lit. f DSGVO).

Zur Bestellung speichern wir auch die Herkunft, etwa „Google-Anzeige“ oder „Suchmaschine“. Dieselbe Herkunft hängen wir zusammen mit dem Kampagnen-Kennzeichen, der Domain der vorherigen Seite und der zuerst aufgerufenen Seite ohne Parameter an die Zahlung bei Stripe an, damit wir sehen, welche Werbung zu Käufen führt (Art. 6 Abs. 1 lit. f DSGVO).

Auf der Kaufseite kannst du „Erinnere mich einmal per E-Mail, falls ich die Zahlung nicht abschließe“ ankreuzen. Dann speichern wir die angegebene E-Mail-Adresse (wenn du angemeldet bist, die Adresse des Kontos) bei der Bestellung und geben sie an Stripe weiter, damit sie auf der Zahlungsseite schon eingetragen ist. Die Zahlungsseite gilt 4 Stunden. Wird die Zahlung in dieser Zeit nicht abgeschlossen, schicken wir eine einzige Erinnerung mit einem Link, über den du 30 Tage lang zur Zahlung zurückkehren kannst. Weitere Erinnerungen gibt es nicht. Wir schicken sie gar nicht, wenn der Zugang inzwischen gekauft wurde oder für diese Adresse eine neue Zahlung begonnen hat. Rechtsgrundlage ist deine Anfrage, also eine Maßnahme vor Vertragsschluss auf deinen Wunsch (Art. 6 Abs. 1 lit. b DSGVO). Die Adresse für die Erinnerung löschen wir nach 31 Tagen aus der Bestellung.

Widerrufst du über die Funktion auf der Kontoseite, speichern wir den Inhalt der Erklärung, die Bestellnummer, die Sprache sowie Datum und Uhrzeit des Eingangs. Die Eingangsbestätigung bekommst du per E-Mail, und unser Kundenservice erhält eine Benachrichtigung mit den Bestelldaten, prüft den Widerruf und veranlasst die Erstattung bei Stripe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, weil wir den Eingang bestätigen müssen (§ 356a Abs. 4 BGB), und Art. 6 Abs. 1 lit. b DSGVO (Rückabwicklung des Vertrags). Den Datensatz bewahren wir so lange auf wie die Bestelldaten, damit wir im Streitfall zeigen können, wann die Erklärung eingegangen ist (Art. 6 Abs. 1 lit. f DSGVO).

Bei der Zahlungsabwicklung selbst handelt Stripe in unserem Auftrag, auf Grundlage eines Vertrags zur Auftragsverarbeitung. Einen Teil der Daten verarbeitet Stripe als eigener Verantwortlicher, etwa um Betrug zu verhindern und Pflichten aus dem Zahlungsdienste- und Geldwäscherecht zu erfüllen. Dafür ist Stripe verantwortlich, und es gilt die Datenschutzerklärung von Stripe. Stripe kann Daten in die USA übermitteln. Die Stripe, LLC nimmt am EU-U.S. Data Privacy Framework teil, für das die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat (Art. 45 DSGVO).

E-Mails mit Codes und Bestätigungen

Anmeldecodes, Kaufbestätigungen, Eingangsbestätigungen für Widerrufe und angeforderte Zahlungserinnerungen verschicken wir über den Mailserver der Prociv Sp. z o.o. (Domenomania.pl), ul. Czerniawska 2A/27, 50-576 Wrocław, Polen. Prociv verarbeitet dabei deine E-Mail-Adresse und den Inhalt der Nachricht in unserem Auftrag (Art. 28 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Lernfortschritt im Konto

Bist du angemeldet, speichern wir deinen Lernfortschritt im Konto, für jede Ausgabe getrennt: welche Fragen du beantwortet hast, mit welchem Ergebnis, und welche du dir gemerkt hast. So lernst du auf einem anderen Gerät weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Der Fortschritt wird mit dem Konto gelöscht.

Schutz vor Missbrauch

Damit niemand Codes errät oder fremde Postfächer mit E-Mails überschwemmt, zählen wir Anmeldeversuche und gestartete Zahlungen. Dafür speichern wir nur kryptografische Hashwerte von IP-Adresse und E-Mail-Adresse mit dem Zeitpunkt des Versuchs und löschen sie nach 24 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die Sicherheit der Konten.

Wie lange wir Bestelldaten aufbewahren

Bestelldaten, einschließlich des Nachweises deiner Zustimmung und etwaiger Widerrufserklärungen, bewahren wir fünf Jahre auf, gerechnet ab dem Ende des Jahres, in dem die Steuer für den jeweiligen Verkauf fällig wurde (Art. 86 § 1 in Verbindung mit Art. 70 § 1 der polnischen Abgabenordnung, Ordynacja podatkowa).

Eine Sicherungskopie der Datenbank legen wir täglich auf unserem Server an und löschen sie nach 14 Tagen. Daten, die aus einem Konto gelöscht wurden, verschwinden also spätestens dann auch aus den Kopien.

Wenn du uns schreibst

Schreibst du uns eine E-Mail, etwa über den Link zum Melden eines Fehlers unter der Frage, verarbeiten wir deine Adresse und den Inhalt der Nachricht, um zu antworten und die Frage zu prüfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Nachricht, sobald sie erledigt ist und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Links zu App Store und Google Play

Die Schaltflächen zu den Stores sind einfache Links. Erst wenn du darauf tippst, öffnet sich die Seite von Apple oder Google, und es gelten deren Datenschutzerklärungen. Käufe in der App laufen ausschließlich über Apple oder Google. Für die App gilt eine eigene Datenschutzerklärung.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen die Verarbeitung (Art. 21). Schreib uns dafür an support@kandyb-studio.eu.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Behörde deines Wohnorts. Für uns zuständig ist der polnische Präsident des Amts für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa.

Widerspruchsrecht

Die Server-Protokolle, deine E-Mails, den Schutz vor Missbrauch, den Nachweis deiner Zustimmung beim Kauf und den Nachweis von Widerrufserklärungen verarbeiten wir auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO). Dagegen kannst du jederzeit Widerspruch einlegen, wenn sich dafür Gründe aus deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine formlose E-Mail an support@kandyb-studio.eu genügt.

Änderungen

Ändert sich etwas an der Website, das für den Datenschutz zählt, passen wir diese Seite an und aktualisieren das Datum oben.